Mover el acceso VPN a un Mac nuevo: qué anotar primero

La migración falla en silencio: la conexión aparece en la barra de menús, el perfil se importa y la autenticación sigue fallando porque el Mac nuevo no es un dispositivo autorizado. El Mac viejo sigue funcionando, lo que hace fácil posponer el fallo hasta que la máquina vieja ya no esté. Un inventario breve antes del cambio evita casi todo. Anota de qué depende el acceso mientras todavía puedes leerlo en la máquina que funciona.

Inventaria el acceso mientras el Mac viejo aún se conecta

Empieza por el cliente y el protocolo, no por el nombre de la conexión. El nombre es una etiqueta que eligió el perfil antiguo; la versión del cliente, el protocolo y el extremo son lo que la máquina nueva debe reproducir. Anota también el nombre de host exacto del extremo, porque una migración del proveedor puede moverlo sin cambiar la etiqueta.

La entrada de identidad es la que más pesa. Un nombre de usuario y un código de un solo uso pueden introducirse en el Mac nuevo, un certificado con clave exportable a veces puede importarse, y un certificado vinculado al dispositivo con una clave no exportable no puede trasladarse en absoluto. Anota cuál de los casos tienes antes de planificar el cambio. Si dos de esas respuestas no coinciden, resuelve la discrepancia antes de copiar nada.

Por último, anota el comportamiento de red previsto: túnel completo o túnel dividido, qué nombres internos deben resolverse y si se espera que IPv6 viaje dentro del túnel. Eso se convierte en las pruebas que deciden si la migración funcionó.

Separa lo que se puede copiar de lo que debe volver a emitirse

Los perfiles de usuario, las direcciones de servidor y las preferencias suelen ser portables. Las claves privadas, los certificados de dispositivo y los tokens de inscripción no lo son, porque su valor depende de estar vinculados a una sola máquina. Trátalos como elementos que deben volver a emitirse y pregunta al propietario por la ruta admitida. Todo lo demás se puede copiar. Decide el proceso del propietario, no el asistente de migración.

Detente aquí si la identidad está vinculada al dispositivo y no existe una ruta de reemisión. Continuar con una clave copiada falla en la autenticación o, peor, deja la misma credencial activa en dos máquinas sin registro de la segunda.

No dejes una clave privada ni un código de recuperación en una nota o un mensaje de chat durante el traslado. Usa el llavero, el gestor de contraseñas o el proceso de depósito de la organización, y vuelve a inscribir el autenticador en lugar de copiar su semilla. Una nota de migración que contiene una credencial se convierte en una segunda copia de esa credencial.

Prepara el Mac nuevo por la ruta admitida

Si el Mac está gestionado, inscríbelo en el mismo sistema de gestión antes de añadir configuración manual. El sistema de gestión posee el perfil impuesto, y un perfil importado a mano encima de él crea dos fuentes de verdad que discrepan tras el siguiente cambio de política.

En un Mac no gestionado, instala el cliente desde la descarga actual del proveedor e importa el perfil mediante el método que documenta el proveedor. Las versiones recientes de macOS exigen aprobación para las configuraciones VPN y las extensiones de sistema en Privacidad y seguridad, y una extensión puede necesitar un reinicio antes de que el túnel arranque. Apple documenta la ruta de configuración manual de VPN si necesitas compararla con la app del proveedor.

Elimina las definiciones duplicadas cuando la nueva funcione. Una entrada obsoleta en los ajustes de Red y el propio perfil de la app pueden apuntar al mismo extremo, y la que se conecta no siempre es la que crees que editaste.

Prueba las rutas que el Mac nuevo usará de verdad

Conéctate y confirma que el túnel transporta tráfico; después revisa la resolución de nombres y el enrutamiento en lugar de fiarte del icono de la barra de menús. macOS informa de los resolutores por interfaz, así que el servidor DNS interno debe aparecer en la interfaz del túnel y los nombres internos deben resolverse a través de él. Ambos comandos de abajo solo leen el estado.

scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20

Detente si un nombre de host interno se resuelve a una dirección pública o si la ruta por defecto sigue apuntando a la interfaz física cuando el diseño espera un túnel completo. Ambas son señales de que el perfil se importó sin sus rutas o de que otra configuración lo está anulando.

Repite la prueba tras la suspensión y tras unirte a otra red. Una conexión que sobrevive al primer inicio de sesión pero no al cierre de la tapa es una migración que fallará en el uso diario, y detectarlo antes de borrar el Mac viejo es el objetivo de la lista.

Retira el Mac viejo y revócalo

Mantén el dispositivo viejo conectado hasta que el nuevo supere las pruebas anteriores. Después revoca el dispositivo viejo desde la consola del operador o el sistema de gestión; borrar la app del Mac viejo no revoca su identidad, y un perfil copiado aún puede autenticarse.

Tras la revocación, elimina los perfiles, cierra la sesión de la cuenta y borra el disco si la máquina sale de tu control. Revisa una vez más la lista de dispositivos del proveedor para confirmar que la entrada vieja desapareció y que la nueva está etiquetada correctamente.

Si durante el traslado se copió un secreto compartido o una credencial de equipo, rótala ahora en lugar de esperar al siguiente cambio programado. La migración termina cuando la identidad vieja está muerta, no cuando el icono nuevo se pone verde.